O que é o armazenamento frio de criptomoedas e como ele é utilizado?

Principais conclusões

• O armazenamento frio de criptomoedas mantém as chaves privadas offline e continuamente isoladas de sistemas conectados à internet.

• O armazenamento em frio reduz o risco de ataques remotos, mas ainda deixa em aberto riscos relacionados a pessoas internas, riscos físicos e da cadeia de suprimentos, riscos relacionados ao firmware, ao fluxo de trabalho de assinatura e à recuperação.

• No caso de ativos institucionais físicos, o armazenamento offline deve ser combinado com autoridade de assinatura distribuída, políticas de aprovação, auditabilidade e recuperação testada.

• As instituições podem recorrer à custódia qualificada, à autocustódia ou a um modelo híbrido, dependendo de suas obrigações regulatórias, necessidades de liquidez e capacidade de administrar internamente os controles de gerenciamento de chaves.

• Um provedor de custódia deve ser avaliado com base na governança, na segregação e na arquitetura-chave, nos relatórios de garantia e no escopo do seguro, na resposta a incidentes e nos processos de recuperação, e não apenas com base no termo "cold".

O armazenamento frio de criptomoedas mantém as chaves privadas que controlam os ativos digitais permanentemente offline. O armazenamento frio reduz o número de maneiras pelas quais um invasor pode acessar essas chaves remotamente. Trata-se de um modelo operacional para gerar chaves, aprovar transações, proteger backups, separar funções e recuperar o acesso em caso de falha.

O que é armazenamento frio de criptomoedas?

Quando as pessoas perguntam o que é armazenamento frio para criptomoedas, geralmente estão se perguntando onde a chave privada é armazenada. Uma chave privada é o segredo criptográfico usado para autorizar transferências a partir de um endereço na blockchain. Se essa chave for armazenada em um sistema conectado à internet, ela pode ficar exposta a malware, roubo de credenciais, exploração remota ou um aplicativo comprometido. O armazenamento a frio mantém a chave longe de todos os ambientes online.

Uma carteira fria pode assumir diversas formas. Ela pode utilizar um dispositivo de hardware dedicado, um computador offline, um processo de cofre institucional ou um sistema de assinatura distribuída, no qual o material de chave é mantido em vários ambientes controlados. A BitGo Bank & Trust, N.A. oferece suporte tanto ao armazenamento frio com custódia qualificada quanto ao armazenamento frio com autocustódia, proporcionando aos clientes a flexibilidade de escolher o nível de responsabilidade que desejam assumir pelo gerenciamento das chaves e pela segurança.

O armazenamento off-chain é, portanto, uma característica do processo de gerenciamento de chaves e assinatura. Os ativos permanecem registrados na blockchain. O que fica off-line é a autoridade necessária para movimentá-los.

Quem administra o armazenamento refrigerado? Custódia qualificada versus autocustódia

O armazenamento frio pode ser gerenciado por meio da autocustódia ou de um custodiante qualificado. A principal diferença está em quem assume a responsabilidade pela operação dos controles que garantem a segurança dos ativos. Na autocustódia, o detentor dos ativos assume essa responsabilidade diretamente. Isso inclui proteger as chaves, aprovar transações, manter backups e dispositivos, testar a recuperação e responder a incidentes. A autocustódia oferece controle direto, mas também significa que o detentor deve manter o ambiente de segurança em torno da carteira.

Com a custódia qualificada, um custodiante regulamentado assume a responsabilidade de proteger as chaves privadas e administrar os controles relacionados ao seu uso. Isso permite que os detentores de ativos os mantenham em armazenamento frio sem precisarem criar e manter por conta própria a infraestrutura subjacente de gerenciamento, assinatura e recuperação de chaves. O BitGo Bank & Trust, N.A., por exemplo, é um banco fiduciário nacional regulamentado pela OCC que oferece custódia qualificada para ativos digitais.

Um modelo híbrido permite colocar ativos de longo prazo ou de maior valor em custódia regulamentada e manter a autocustódia para saldos operacionais específicos. O guia da BitGo Bank & Trust, N.A. sobre custódia qualificada versus autocustódia descreve essas contradições em termos de controle, segurança, responsabilidade operacional e conformidade.

Contra o que o armazenamento refrigerado protege

A principal vantagem em termos de segurança do armazenamento de criptomoedas em cold storage é a redução da superfície de ataque. Se as chaves privadas nunca ficarem armazenadas em uma estação de trabalho conectada à rede, formas comuns de ataque - como roubo de credenciais no navegador, malware remoto, sequestro da área de transferência, ransomware e algumas técnicas de phishing - têm menos acesso direto às chaves secretas que controlam os ativos.

Os controles tradicionais de conta podem permitir que um banco, uma rede de cartões ou um processador de pagamentos interrompa ou reverta determinadas atividades não autorizadas. Em contrapartida, uma transação válida na blockchain assinada com chaves comprometidas é geralmente irreversível. Isso mostra por que práticas de segurança robustas são fundamentais no âmbito dos ativos digitais.

O armazenamento a frio também permite que as instituições imponham atritos deliberados. Transferências de grande valor podem exigir várias pessoas, dispositivos separados, verificação independente, locais controlados e procedimentos documentados antes que uma transação seja assinada. No modelo de custódia qualificada do BitGo Bank & Trust, N.A., vários agentes fiduciários participam da assinatura offline utilizando partes de chave separadas, de modo que nenhuma pessoa sozinha possa autorizar uma transação. O tempo adicional e a separação podem proteger reservas, saldos de tesouraria ou outros ativos com baixa necessidade de liquidez.

Contra o que o armazenamento em cold storage com autocustódia não oferece proteção

O armazenamento a frio reduz o risco de ataques remotos, mas o armazenamento a frio com autocustódia deixa o titular responsável por garantir a segurança de todo o ambiente de gerenciamento de chaves e assinatura. Manter as chaves offline, por si só, não oferece proteção contra hardware ou firmware comprometidos, geração de chaves fraca, backups de sementes expostos, transações manipuladas ou falhas nos procedimentos de assinatura e recuperação. Esses riscos tornam-se especialmente importantes quando um indivíduo ou organização é responsável por selecionar dispositivos, gerar e proteger chaves, verificar transações e manter processos de recuperação.

A violação de segurança da Bybit em fevereiro de 2025 mostrou como um fluxo de trabalho de assinatura autogerenciado pode permanecer vulnerável mesmo quando as chaves são mantidas offline. Os invasores comprometeram a interface utilizada em um processo de carteira fria com assinatura múltipla (multi-sig) segura e fizeram com que signatários legítimos aprovassem uma transação maliciosa. A Bybit relatou um prejuízo de cerca de US$ 1,46 bilhão, e o FBI posteriormente atribuiu o roubo a agentes norte-coreanos. A violação mostrou que uma chave offline ainda pode autorizar uma transação maliciosa se o caminho de verificação em torno dessa chave for comprometido.

O incidente da Coldcard em 2026 ilustra de forma ainda mais direta o risco associado ao armazenamento frio em custódia própria. Um defeito no firmware comprometeu a geração de sementes nas carteiras de hardware afetadas, permitindo que invasores atacassem carteiras cujas chaves haviam sido criadas com aleatoriedade insuficiente. Relatórios e análises da blockchain estimaram as perdas em mais de US$ 100 milhões à medida que o incidente se desenrolava. Manter os dispositivos offline não foi capaz de compensar uma vulnerabilidade introduzida no momento da criação das chaves.

Para usuários que optam pela autocustódia, o armazenamento a frio, portanto, exige mais do que simplesmente transferir as chaves para um ambiente offline. A proveniência do dispositivo e o gerenciamento de alterações, a verificação de transações, a independência do signatário, o planejamento de recuperação e a resposta a incidentes continuam sendo de responsabilidade do detentor e fazem parte do perímetro de segurança.

Assinatura múltipla, MPC e HSMs no armazenamento a frio

As instituições costumam combinar o armazenamento offline com controles criptográficos que reduzem a dependência de uma única chave ou pessoa. A assinatura múltipla, ou "multi-sig", exige um número mínimo de chaves independentes para autorizar uma transação. Um esquema 2 de 3, por exemplo, exige quaisquer duas das três chaves. Se uma chave for perdida ou comprometida, a movimentação dos ativos ainda exigirá outra chave autorizada.

Essa proteção depende de uma independência genuína. Se todas as chaves forem geradas no mesmo modelo de dispositivo vulnerável, armazenadas no mesmo local ou controladas pelo mesmo administrador, a arquitetura pode apresentar um ponto de falha correlacionado. O incidente com o Coldcard demonstra por que as instituições devem levar em consideração a diversidade entre dispositivos, operadores, locais e caminhos de recuperação ao projetar carteiras que armazenam valores significativos.

A computação multipartidária, ou MPC, adota uma abordagem diferente. A MPC permite distribuir o material de assinatura entre várias partes, de modo que nenhuma delas precise reconstruir uma chave privada completa durante o processo normal de assinatura. A assinatura múltipla (multi-sig) e a MPC criam modelos diferentes de confiança, recuperação, compatibilidade e auditoria.

Os módulos de segurança de hardware, ou HSMs, são dispositivos especializados utilizados para gerar, proteger e utilizar chaves criptográficas em um ambiente controlado. Um custodiante, por exemplo, pode utilizar HSMs como parte da infraestrutura que protege as chaves dos clientes e autoriza transações, sem expor desnecessariamente o material de chave confidencial a aplicativos ou operadores. Controles de acesso e políticas de aprovação determinam quem pode solicitar ou autorizar essas operações.

Quando os HSMs são utilizados para operações confidenciais envolvendo chaves, as instituições devem avaliar, de forma integrada, o módulo, a norma de validação, os controles de acesso, o ambiente físico e os procedimentos operacionais. A norma FIPS 140-3 é a norma federal dos EUA que estabelece os requisitos de segurança para módulos criptográficos; a validação dos componentes abrange o módulo, e não todo o processo de custódia.

Como as instituições utilizam o armazenamento em baixa temperatura

Um programa institucional geralmente separa os ativos por finalidade. As reservas de longo prazo e os ativos estratégicos de tesouraria podem ser mantidos em camadas de armazenamento mais profundas, com processos de saque mais lentos e mais etapas de aprovação. O capital de giro, os saldos de liquidação ou o estoque de negociação podem exigir uma camada de carteira mais líquida. O objetivo é manter o nível de exposição online alinhado às necessidades operacionais.

O relatório anual da BitGo Holdings, Inc. no Formulário 10-K referente ao exercício findo em 31 de dezembro de 2025 revelou que mais de 95% dos ativos digitais dos clientes sob custódia estavam armazenados em cold storage em 31 de dezembro de 2025. Seu carteiras com custódia Mantenha as chaves privadas offline e aplique controles de saque, como verificações de segurança, listas de permissões, limites de frequência e políticas de usuário.

Para um gestor de tesouraria ou de ativos que esteja se perguntando como armazenar criptomoedas em armazenamento frio, o ponto de partida prático é a classificação dos ativos por nível. Defina o que deve permanecer líquido, o que pode tolerar um acesso atrasado, quem pode aprovar movimentações e quais registros devem ser mantidos para fins de auditoria e análise de incidentes. A tecnologia deve implementar essas decisões.

O que incluir em uma lista de verificação para fornecedores de serviços de custódia de criptomoedas

Uma lista de verificação para provedores de custódia de criptomoedas deve avaliar o ambiente de controle do provedor. Pessoas físicas e jurídicas devem começar pelo modelo de custódia legal e identificar a entidade que detém os ativos, a jurisdição que a regula e como os ativos dos clientes são segregados dos ativos corporativos. Em seguida, devem examinar quem controla as chaves, onde o material de chave é gerado e armazenado, qual limite de assinatura se aplica e se algum administrador pode contornar a política normal.

A certificação independente fornece às instituições evidências que vão além das descrições de segurança internas do provedor. Ao realizar a devida diligência, tanto indivíduos quanto organizações devem analisar o escopo e o período de validade dos relatórios SOC 1 ou SOC 2 relevantes, verificar se há exclusão de sistemas relevantes e compreender se o provedor segue uma estrutura de gestão de segurança da informação, como a ISO/IEC 27001. Clientes individuais também podem buscar uma certificação independente como evidência de que os controles do provedor foram avaliados por terceiros. A norma ISO/IEC 27001 define os requisitos para um sistema de gestão de segurança da informação. Essas normas e relatórios abrangem controles específicos e fornecem às equipes de risco, finanças e auditoria evidências sobre seu escopo e funcionamento.

O seguro deve ser avaliado com a mesma precisão. As questões relevantes são: quais entidades e carteiras estão seguradas, quais eventos estão cobertos, o limite agregado da apólice e as franquias, as exclusões e se a cobertura depende de o custodiante deter todas as chaves. O BitGo Bank & Trust, N.A. mantém um seguro de ativos digitais de até US$ 250 milhões para situações em que detém todas as chaves. Essa cobertura é um seguro comercial subscrito por um consórcio de seguradoras; não se trata de seguro de depósitos e não é garantido pela FDIC nem por qualquer órgão governamental. O seguro deve ser tratado como uma rede de segurança financeira, e não como um substituto para controles preventivos, e está sujeito aos termos, condições, limites e exclusões da apólice. Visão geral do seguro da BitGo descreve o escopo de forma geral.

Os clientes devem compreender os processos de recuperação e de tratamento de incidentes antes de transferir ativos significativos para um provedor. Um provedor deve ser capaz de explicar como são tratados casos de perda do signatário, suspeita de comprometimento de chave, falha no dispositivo, exceção à política ou transferência de emergência; quem pode autorizar a recuperação; e quais evidências de auditoria são geradas posteriormente.

Como a BitGo oferece suporte ao armazenamento off-line

O BitGo Bank & Trust, N.A., oferece infraestrutura de custódia regulamentada e de autocustódia para pessoas físicas e jurídicas que desejam proteger seus ativos digitais em armazenamento frio. Os clientes podem escolher um modelo operacional com base no nível de responsabilidade que desejam assumir pelo gerenciamento de chaves e pela segurança. A custódia qualificada da BitGo Bank & Trust, N.A. mantém as chaves privadas offline por meio de entidades regulamentadas, enquanto seu modelo de carteira fria de autocustódia oferece aos clientes o controle de duas das três chaves em um ambiente offline.

Para os clientes que optam pela custódia qualificada, o BitGo Bank & Trust, N.A. combina o armazenamento off-line com os controles e a supervisão de um ambiente de custódia regulamentado. O BitGo Bank & Trust, N.A. concluiu as auditorias SOC 1 Tipo 2 e SOC 2 Tipo 2 e oferece contas segregadas para clientes e cobertura de seguro de até US$ 250 milhões para ativos digitais mantidos em custódia qualificada, sujeita aos termos e limitações da apólice.

O BitGo Bank & Trust, N.A. é um banco fiduciário de âmbito nacional, constituído e regulamentado pelo OCC. Para pessoas físicas e jurídicas que não desejam administrar por conta própria um ambiente de segurança de armazenamento off-line, a custódia qualificada oferece outra opção: os ativos podem permanecer protegidos off-line, enquanto o gerenciamento de chaves, os controles de assinatura e os processos de recuperação são operados dentro da estrutura de custódia regulamentada do BitGo Bank & Trust, N.A.

Perguntas frequentes sobre armazenamento refrigerado

O que é armazenamento off-line no mundo das criptomoedas?

No mundo das criptomoedas, o armazenamento frio consiste em manter offline as chaves privadas utilizadas para autorizar transações na blockchain. Os próprios ativos permanecem na blockchain. O componente offline é o material de chave e o processo de assinatura que controla a movimentação desses ativos.

O armazenamento off-line torna as criptomoedas à prova de hackers?

Não. O armazenamento offline reduz a exposição remota; no entanto, roubo físico, falhas no firmware ou na geração de chaves, conluio de funcionários, interfaces de assinatura comprometidas e processos de recuperação inadequados ainda podem levar à perda. Os incidentes envolvendo a Bybit e a Coldcard mostram dois modos diferentes de falha em sistemas de chaves offline. Para clientes que não desejam gerenciar esses controles por conta própria, o BitGo Bank & Trust, N.A. oferece custódia qualificada que combina o gerenciamento de chaves offline com autorização distribuída, controles de política e custódia regulamentada.

A assinatura múltipla é mais segura do que uma carteira de hardware única?

No caso de ativos físicos, a assinatura múltipla (multi-sig) pode reduzir o risco associado a uma única chave, pois várias chaves independentes devem autorizar uma transferência. Sua eficácia depende da independência. As chaves devem ser independentes entre dispositivos, administradores, locais e mecanismos de recuperação.

Qual deve ser a quantidade de criptomoedas que uma instituição deve manter em armazenamento frio?

As instituições utilizam diferentes porcentagens de reservas de segurança. A divisão adequada depende das necessidades de liquidez, da frequência das transferências, das obrigações de liquidação, dos limites de risco e dos objetivos de tempo de recuperação. O objetivo do projeto é minimizar a exposição desnecessária em ambiente ativo e preservar a capacidade de atender às necessidades legítimas de transações.

O que as pessoas devem levar em consideração ao escolher um provedor de armazenamento refrigerado?

Pessoas físicas e jurídicas devem avaliar a estrutura de custódia legal e a situação regulatória, a segregação de ativos e a arquitetura-chave, os controles de políticas e os relatórios de garantia, os processos de seguro e retirada, bem como a resposta a incidentes e a recuperação testada. Um provedor deve ser capaz de explicar como esses controles funcionam em conjunto e onde ainda persistem riscos residuais.